Kurz vor dem Ende eines Projektes zur Entwicklung einer neuen E-Commerce-Webanwendung, wendet sich der Projektleiter an die
IT-Sicherheit und bittet um schnellstmögliche Freigabe der Applikation für den IT-Betrieb, da seinerseits feste Zusagen bezüglich des Live-Gangs getroffen wurden und jede weitere Verzögerung das
ohnehin schon knappe Projektbudget überfordern würde. Die IT-Sicherheit erkennt die Dringlichkeit seines Anliegens und bittet den Datenschutzbeauftragten, den Informationssicherheitsbeauftragten
sowie den verantwortlichen Softwareentwickler und IT-Administrator zum Gespräch. Der Softwareentwickler sieht bei der gewählten Programmiersprache einige Schwachstellen, die beispielsweise durch
Codereviews abgefangen werden müssen. Jedoch traut er sich nicht seine Bedenken zu äußern, da seine Abteilung bereits bei mehreren Projekten in Verzug ist und die Überstunden deshalb stark
zugenommen haben. Der IT-Administrator erkennt, dass ihm die geplante Wartung der Anwendung durch einen externen Dienstleister zusätzliche Arbeit ersparen kann und verdrängt seine Gedanken
bezüglich der dafür benötigten Zugriffsrechte in das Unternehmensnetzwerk, die der Fremdfirma gewährt werden müssen. Der Datenschutzbeauftragte arbeitet kommissarisch und seine primäre Tätigkeit
lässt ihm leider kaum Zeit an solchen Besprechung teilzunehmen. Er bittet den Informationssicherheitsbeauftragten in seinem Interesse zu handeln und freut sich über eine Zusammenfassung der
Ergebnisse via Mail. Der Informationssicherheitsbeauftragte wiederum erkennt die Reichweite des Projekts (Auswirkung bei Verfügbarkeitseinschränkungen oder Datenabfluss) und fordert daher einen
Penetrationstest vor dem Live-Gang sowie die Einhaltung der relevanten Richtlinien. Ihm ist bewusst, dass das Projekt weder über die Zeit noch das Budget für seine Forderungen verfügt und
bedauert, dass die von ihm vor geraumer Zeit überarbeitete Informationssicherheitsrichtlinie noch nicht Unterzeichnet worden ist. Diese Neufassung soll nämlich wichtige Aspekte der
Informationssicherheit regeln und grundlegende Anforderungen sowie Quality Gates für neue Projekte vorgeben.
Diese fiktive Geschichte wurde von mir bewusst überspitzt. Falls Ihnen jedoch der eine oder andere Punkt bekannt vorkommt, besteht Handlungsbedarf und externe Unterstützung kann zur Steigerung
des Senior Management Commitments sehr hilfreich sein.
